Amazon WS上微服务应用程序中的用户身份验证

Question

• 管理员-能够创建内容，上传文件等（管理员帐户只能由另一个管理员创建）
• 未经授权的用户-可以查看内容
• 授权用户-可以评论内容

以下是我到目前为止对身份验证流的思考：

• 身份验证服务-使用用户凭据和权限访问数据库
• API Gateway--检索来自用户的请求，检查用户是否登录（即用auth服务验证OAuth2访问令牌），并根据用户请求将流传输到其他服务（附加一些基本用户信息的JWT令牌）
• 另一个服务--只接受来自api网关的请求，并信任来自JWT令牌的用户数据（不需要连接auth服务来获取有关用户的信息）。

null

到目前为止，我正在考虑Cognito作为我的身份验证服务的替代品--我的任何服务，都应该引入由亚马逊SDK提供的Cognito身份验证流，我的静态网站将为用户登录/注册实现JavaScript SDK。我说的对吗？

Answer 1

首先，AWS Cognito由两个服务组成。

• AWS Cognito UserPools（它是标识提供者）-这是一个服务，您可以在其中创建用户并使用其他策略管理他们的凭据。它还可以提供登录屏幕，在那里我们可以定制标志和外观，这样它就可以成为一个即插即用的登录服务。然后，还可以配置身份验证流（例如，将服务设置为OpenIDConnect身份验证提供者，以便在用户登录后返回JWT令牌）。还可以连接社交身份(Facebook、Google等）和saml.
• AWS Cognito联合身份（授予用户访问AWS服务的身份联合）-此服务能够接受AWS Cognito UserPool令牌或来自其他提供者的直接访问，在那里我们可以联合对AWS资源的访问。例如，AWS Cognito联合标识可以授予从另一个提供者（例如，AWS Cognito UserPools）身份验证的用户临时访问权，以便将文件上载到S3.

有关更多详细信息，请参阅文章AWS认知用户池和联邦身份之间的区别？。

null

您可以使用AWS Cognito UserPools身份验证服务来发布JWT令牌，并在其他服务endpoint的AWS Lambda自定义授权程序中验证该令牌。这也是你可以做授权的地方。

不一定。如果您使用AWS Cognito UserPools托管的UI，默认情况下，您将获得登录、注册、密码更改、确认页面，以及联邦身份（基于配置）的自动重定向（如Facebook、Google或Office365等公司凭据）。尽管自定义是有限的，但您应该能够添加自己的徽标并更改这些屏幕的背景色。如果您打算自己实现这一点，那么您可以使用AWS SDK来实现这些屏幕。

有关无服务器体系结构的更多细节，请参考使用AWS的全堆栈无服务器Web应用程序。